.. _upki_basics:

基本情報
========

.. contents:: 目次
  :local:
  :depth: 2

証明書の発行方法には，次の2通りがあります．

手動発行・更新
  手作業による発行方法です．
  証明書の有効期限が切れる前に，ご自身で更新作業を行う方法です．
  「:ref:`手動発行・更新手順 <upki_apply>`」に沿って発行してください．

自動発行・更新
  Automatic Certificate Management Environment (ACME) による自動発行・更新による発行方法です．
  証明書を利用するサーバ上でACMEクライアントをインストール・設定していただき，証明書の発行・更新を自動で行う方法です．サーバの設置状況によって利用できない場合があります．要件は `自動発行・更新の要件`_ でご確認ください．

.. _upki_acme_requirements:

自動発行・更新の要件
------------------------------------------

自動発行・更新は，学外のサーバへのアクセスが必要であるため, **証明書を利用するサーバから学外へアクセスが可能な場合のみ** 利用可能です．

.. note::
  学外へアクセスできないサーバで自動発行をする方法は, 現在検討中です．

さらに，サーバの設置状況によって利用方法が異なります．
下の表で，ご自身のサーバに当てはまる欄を確認してください．

.. list-table:: 自動発行・更新を利用できる条件 (学外へアクセスできる場合)
  :header-rows: 1
  :widths: 50 50

  * - 学外から HTTP（80番ポート）へのアクセス
    - 利用方法
  * - 可能
    - `HTTP-01 方式`_
  * - 不可能
    - `DNS-01 方式`_ (準備中)

HTTP-01 方式
^^^^^^^^^^^^^^^^^^^

証明書を発行する学外の認証局サーバが，インターネット経由で証明書を利用するサーバにアクセスし，サーバの存在確認をします．
そのため，次の条件をすべて満たしている必要があります．

- 学外から，証明書を利用するサーバの 80 番ポートに HTTP でアクセスできること．
- サーバ名（FQDN）が, 学外からも名前解決できること（学外から DNS で IP アドレスが引けること）
- サーバ上で ACME クライアント (certbot) を動かせること．

.. note::

  - 80 番ポートへのアクセスを 443 番ポート（HTTPS）へ自動的に転送（リダイレクト）している場合も，利用できます．
  - 証明書の発行・更新のときだけ 80 番ポートにアクセスできれば問題ありません．
  - 利用者向けのサービス自体は HTTPS（443 番ポート）のみで提供していても問題ありません．
  - 443 番ポートだけを開けていて 80 番ポートが閉じている場合は利用できません．

DNS-01 方式
^^^^^^^^^^^^

サーバ名（FQDN）を登録している DNS サーバが，DNS レコードの自動更新（API などの仕組み）に対応している必要があります．

.. list-table:: DNS サーバの種類ごとの対応状況
  :header-rows: 1
  :widths: 30 20 50

  * - 利用している DNS サービス
    - 自動更新
    - 説明
  * - 情報基盤センターの全学 DNS レコード管理システム
    - 可能
    - API による自動更新ができます．
  * - 情報基盤センターのバーチャルドメインサーバ DNS サービス
    - 不可
    - API に対応していません．全学 DNS レコード管理システムへの移行をご検討ください．
  * - 独自の DNS サーバ
    - 要確認
    - DNS サーバの管理者に，自動更新への対応状況をご確認ください．

どの方法を使えばよいかの判断フロー
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

どの発行方法が使えるか分からない場合は，次の図を上から順にたどってください．

.. container:: upki-flow

   .. mermaid::

     %%{init: {'theme': 'base', 'themeVariables': {'background': '#ffffff', 'primaryColor': '#e3f0fb', 'primaryTextColor': '#000000', 'primaryBorderColor': '#1f4e79', 'lineColor': '#444444', 'edgeLabelBackground': '#ffffff', 'fontSize': '20px'}}}%%
     flowchart LR
       START([スタート]) --> Q1{"証明書を利用するサーバ<br>から学外にアクセスできますか？"}
       Q1 -- いいえ --> MANUAL["手動発行・更新<br>(自動発行は現在検討中)"]
       Q1 -- はい --> Q2{"学外から, サーバの<br>80番ポート (HTTP) に<br>アクセスできますか？"}
       Q2 -- はい --> HTTP["自動発行・更新<br>HTTP-01 方式"]
       Q2 -- いいえ --> Q3{"サーバ名を登録している<br>DNSサーバは, 自動更新<br>(API) に対応していますか？"}
       Q3 -- "はい<br>(全学DNSレコード管理システム)" --> DNS["自動発行・更新<br>DNS-01 方式 (準備中)"]
       Q3 -- "いいえ・分からない<br>(バーチャルドメインサーバ<br>DNSサービスを利用している．<br>または，独自DNSサービスの<br>対応状況が不明)" --> MANUAL

       classDef start fill:#e3f0fb,stroke:#1f4e79,color:#000
       classDef question fill:#fff9c4,stroke:#9e8600,color:#000
       classDef auto fill:#d5f0dc,stroke:#2e7d32,color:#000
       classDef manual fill:#fde7c8,stroke:#c77700,color:#000
       class HTTP,DNS auto
       class MANUAL manual
       class START start
       class Q1,Q2,Q3 question

.. tip::

  - 「学外へアクセスできるか」「80番ポートで学外からアクセスできるか」が分からない場合は，サーバやネットワークの管理者にご確認ください．

.. _upki_roles:

申請に必要な役割
---------------------

申請にあたり，次の役割の方を決めてください．
自動発行・更新，手動発行・更新のどちらでも共通です．

**証明書利用責任者** (利用責任者):
  申請および証明書の利用に関してすべての責任を負う **常勤の教職員**
**証明書管理者** (管理者, 任意):
  作業を実施または監督する方．非常勤の教職員，学生も可．3名まで指名可．
  **証明書利用責任者が証明書管理者を兼ねる場合は不要**．

利用責任者および管理者以外の方が作業（データ作成やサーバへのインストールなど）を行うことは問題ありません．
ただし，利用責任者あるいは管理者が作業内容を確認・監督してください．

.. _upki_caution:

注意事項
---------------

.. _upki_caution_renew:

証明書の更新について
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

証明書の更新時にも，新規申請同様にFQDNの存在やドメイン管理者の確認が義務付けられています．
:ref:`手動発行・更新手順 <upki_apply>` に沿って，申請書の提出をお願いいたします．

更新した証明書をサーバなどに設定した後は，古い証明書の失効が必要です．
証明書の入れ替え作業完了後に情報基盤センターまでご連絡ください．
TSV ファイルの作成は不要です．

.. note::
  サーバ証明書を更新もしくは失効する際に入力する **失効対象証明書シリアル番号** は， **10進数の値** にしてください．16進数の値となっているとエラーとなります．

.. _upki_caution_server_setting:

証明書の入れ替え作業について
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

情報基盤センターでは鍵ペアの生成やサーバ証明書のインストール等への支援は行ないません．
国立情報学研究所のウェブページやインターネット上にある文章を参考に，各自で作業を行ってください．
特に `UPKI電子証明書発行サービス（国立情報学研究所） <https://certs.nii.ac.jp/>`_ を必ずご確認ください．

バーチャルドメインサーバで SSL サーバ証明書を利用する場合は，

* 今回発行された **SSL サーバ証明書**
* TSV ファイルの作成時に使用した **私有鍵（サーバ秘密鍵）**
* **中間証明書**

.. warning::
  **私有鍵** のパスフレーズは必ず削除（解除）してください．

の 3 点を :ref:`UEC Disk2 のチケットリンク <uecdisk2_share_link>` または，電通大 Google Workspaceの Google ドライブにて共有し，
URL を `support@cc.uec.ac.jp <mailto:support@cc.uec.ac.jp>`_
にご連絡ください．

.. _upki_caution_due:

証明書の有効期限について
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

サーバ証明書の有効期限等は国立情報学研究所の UPKI 電子証明書発行サービスにて決められております．
情報基盤センターで期限の調整等はできませんので，あらかじめご了承ください．

.. _upki_caution_server_high_risk:

証明書の発行遅延または不許可について
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

CSR 作成の際に， **CN** もしくは **SAN** の値として，
フィッシング等に不正利用される恐れのあるサーバ名を設定すると，
正当性確認のため証明書発行が遅延するか，場合によっては不許可となります．

審査は第三者の認証局で行われます．
遅延や不許可の理由は，情報基盤センターではお答えできませんのでご了承ください．

認証局は判定の基準を非公開としておりますが，Google, Microsoft, Amazon など，
広く一般に普及しているサービスと混同される恐れのあるものは，遅延や不許可の対象となる可能性があります．